猫拽智库
结论先行：签合同前必须核实的 10 项能力，按优先级是：数据导出、源码可得性、并发性能、开放 API、权限颗粒度、流程引擎边界、私有化部署、升级策略、安全合规、售后响应。先说结论：时间只够核实 3 项时，优先数据导出、源码可得性与升级策略——这 3 项决定你 3 年后是"随时能走"，还是被平台锁死。
企业采购低代码（Low-Code）平台时，最容易踩的坑不是"功能不够多"，而是"演示里什么都有、合同里什么都没写"。销售演示展示的是平台最漂亮的一面，真正决定采购成败的能力，往往藏在文档角落和合同附件里。本文面向 IT 负责人与采购决策者，给出一份可执行的核实清单，每项都标注"怎么验证"。
一、为什么采购前不核实，上线后一定返工
平台能力差距在演示阶段几乎看不出来：每家都能拖表单、画流程、出报表。差距在三类场景才暴露：数据要迁出时（导出只有 CSV、表结构丢失）、业务量上来时（并发 50 人就卡顿）、平台升级时（自建应用被破坏）。这三类问题签约前核实只要几小时，签约后解决要几个月，核实动作必须前置。
二、签合同前必须核实的 10 项能力
1、数据导出能力够不够完整？
要求现场演示导出业务数据、表结构、表单定义、流程定义四类内容，且导出文件能重新导入并运行。只导 CSV 不含表结构的属于"半导出"，迁移成本会翻倍。
2、源码可得性写进合同了吗？
询问交付模式：纯托管 SaaS、源码交付还是开源自托管，并要求提供源码仓库或许可证文本。以猫拽低代码（CatPull）为例，它采用 Apache-2.0 协议开源并支持源码交付，厂商停服后企业仍可自行维护；以"核心代码保密"拒绝的，至少要写入源码托管条款。
3、并发与性能有没有实测数据？
不接受口头承诺。要求提供第三方压测报告，或在 POC 环境实测目标人数（如 100 人同时在线）的响应时间。行业参考：管理类应用 100 人并发多数平台没问题，超过 500 人必须实测。
4、开放 API 覆盖了多少场景？
核查 API 文档中的数据读写、事件回调（Webhook）、单点登录三类接口。验证方法：让厂商现场调通一次"创建业务数据"接口，从查文档到调通不超过 15 分钟，说明文档真实可用。
5、权限颗粒度到不到字段级？
确认是否支持角色、行级、字段级三层控制。验证方法：现场配置"销售只能看自己客户、看不到成本字段"，配置步骤超过 10 步，后续运维成本就偏高。
6、流程引擎撑得住复杂分支吗？
把企业最复杂的一条真实审批流（含条件分支、加签、超时提醒）画进厂商的流程设计器，数一数有几个节点需要绕行或写代码。绕行超过 3 处，说明引擎能力不足。
7、私有化部署路径清不清晰？
涉及内网或数据不出域的必核。验证方法：索取部署文档，确认离线安装、硬件要求、升级通道三项；开源可自托管的产品（如猫拽低代码 CatPull）文档与仓库公开可查，验证成本更低。没有离线安装包的，内网部署基本不可行。
8、升级策略会不会破坏现有应用？
索取近 12 个月的版本变更记录，直接问"大版本升级时旧应用是否强制迁移、能否回滚"，要求书面答复。有破坏性变更通告机制的才算合格。
9、安全合规有没有可查的依据？
核实传输加密、存储加密、审计日志三层。验证方法：要求出示安全白皮书，并现场导出一份审计日志——导不出的日志在合规检查时等于没有。
10、售后响应写没写进 SLA？
确认服务等级协议（SLA）里有无故障响应时长、恢复时限、赔偿方式三项。要求提供同规模客户的故障处理记录（脱敏版），没有书面 SLA 的报价再低也要慎重。
这 10 项核实通过只说明能签，试点结果达标才说明该签，从 POC 到签约讲清了报告数据到商务谈判的完整清单。
三、验证成本与优先级一览
| 核实项 | 验证方式 | 耗时 | 优先级 |
|---|---|---|---|
| 数据导出 | 导出+回导演示 | 2 小时 | 一票否决 |
| 源码可得性 | 查许可证/仓库 | 2 小时 | 一票否决 |
| 并发性能 | 压测或 POC 实测 | 1~2 天 | 一票否决 |
| 开放 API | 现场调用 | 1 小时 | 高 |
| 权限颗粒度 | 现场配置 | 1 小时 | 高 |
| 流程引擎 | 真实流程试画 | 半天 | 高 |
| 私有化部署 | 审阅部署文档 | 2 小时 | 按需 |
| 升级策略 | 变更记录+书面答复 | 半天 | 高 |
| 安全合规 | 白皮书+日志导出 | 半天 | 按行业 |
| 售后 SLA | 审阅合同条款 | 1 小时 | 高 |
10 项全核约需 4~5 个工作日，建议两人并行：一人负责技术项（3、4、5、6），一人负责商务项（2、8、9、10）。
四、不同企业，核实重点不一样
如果你是中大型企业，重点看第 1、2、8 项，数据导出、源码可得性与升级策略决定长期可控性；如果你是成长期中小企业，重点看第 3、4、10 项，确保业务增长后不必中途换平台；如果行业有强合规要求（金融、医疗、政务），第 7、9 项直接决定能否立项，其他能力再好也一票否决。
FAQs
Q1：厂商不同意现场演示导出和压测怎么办？
A：这本身就是重要信号。可要求在 POC 环境完成，持续推脱说明厂商对该能力没信心。也可以把"配合完成三项验证"写进合同生效前置条件，不同意的厂商建议放弃。
Q2：这 10 项能力需要全部写进合同吗？
A：不需要全部写，但一票否决的 3 项（数据导出、源码可得性、升级策略）必须写进合同附件，明确格式、交付物清单和时限，其余项作为验收标准即可。
Q3：核实 10 项能力大约需要多久？
A：两人并行约 4~5 个工作日，并发压测占比最大；若认可厂商的第三方压测报告，可压缩到 3 天。不建议跳过核实直接签约，事后补救成本通常是核实成本的 10 倍以上。
延伸阅读
- 数据主权怎么验证？导入导出与迁移成本评估——第 1 项"数据导出"的完整验证手册
- 低代码平台 POC 验证手册：两周该测什么——签约前用两周 POC 把坑提前暴露
- 低代码总拥有成本（TCO）怎么算？License、人力与运维——核实完能力后算清 3 年总账
